보안맨

재미있는 포렌식 문제 개인적으로 이때까지 CTF 문제풀면서 만났던 문제중에 가장 재미있는 문제라고 생각한다. 요원의 USB에서 복원된 파일에서 플래그를 찾아보라고 한다. 주어지는 문제파일은 unowns.png 사진파일 하나이다. unowns.png 파일을 열어보면 이런 그림이 나온다. 아는 사람은 알겠지만 얘네들은 포켓몬 '안농' 이다. 안농의 특징은 알파벳 모양으로 생겼다는 것이다. 저기 안농들의 모습을 알파벳으로 그래도 옮겨적어보면 REMEMBER TO EXAMINE THE 가 된다. 이부분을 잘 기억해두자. 이 문제를 풀때 한가지 알아야하는건 PNG 파일의 구조이다. 다른 포스팅에서도 잠깐 언급한적이 있는데 PNG 파일은 항상 89 50 4E 47로 시작한다. 아스키 텍스트로 보면 ‰PNG 이런 형..

네트워크 패킷 포렌식 문제 문제 설명을 읽어보면 배끼리 통신하는걸 가로챘다고한다. 여기서 메세지를 찾아낼 수 있냐고 물어본다. s2s.pcapng 패킷파일이 하나 주어진다. Wireshark 프로그램을 이용하면 pcapng 파일을 열어볼 수 있다. 조금 살펴보니 초반에는 딱히 의미있는 패킷이 보이지 않는 것 같다. 조금 내리다가 보니 수상한 패킷을 하나 발견했는데 프로토콜이 MQTT 라고 되어있다. MQTT는 Message Queuing Telemetry Transport 의 약자로 TCP 기반으로 동작하는 메세징 프로토콜이다. 보통 아두이노 같은 임베디드/IoT 장치에서 통신을 위해서 사용한다고 한다. 해당 패킷을 조금 더 자세히 보기 위해서 우클릭 - Follow - TCP Stream을 눌러준다. ..

쉬움 난이도였던 패킷 포렌식 문제 하지만 개인적으로 어려웠다. 자기들이 가지고 있는 기계에서 이상한 통신을 발견했다고 한다. strangetrafficchallenge.pcap 파일이 주어지고, 다른 문제랑 다르게 힌트도 있다. 힌트를 열어보면 alt,esc,1,2,3,4,5,6,7,8,9,0,-,=,backspace,tab,q,w, ... 라고 적혀있다. Wireshark로 pacp 파일을 열어볼 수 있다. 이번 대회에서 ICMP 부터 TCP 이번엔 UDP 까지 패킷들이 참 다양하게 나오는거 같다. (ICMP : https://hackingstudypad.tistory.com/75) (TCP : https://hackingstudypad.tistory.com/76) 패킷은 총 56개로 많이 없는편이다...

중급 난이도의 포렌식 문제 난이도가 중급이지만 너무 쉽게 풀려버렸다. 해당 문제에서는 chall.zip 이라는 압축파일이 하나 주어지게 된다. 압축을 풀어보면 이렇게 qcow2 라는 확장자를 가진 파일이 두개 나온다. 개인적으로 qcow라는 확장자를 처음봐서 검색해봤더니 QMEU에서 사용하는 디스크 이미지 파일 포맷이라고 한다. QMEW는 가상화 프로그램 중 하나이다. 디스크 이미지 파일이기 때문에 FTK Imager 프로그램으로 해당 파일을 열어볼 수 있다. File - Add Evidence Item - Image File 을 선택해주면 된다. 파일을 열어보면 Unrecognized file system 이라고 나오는데 오른쪽 하단을 보면 알겠지만 dirty bit, corrupt bit 이런식으로 ..

이번 대회에서 중급 난이도로 분류되었던 포렌식 문제이다. 사실 풀이를 보면 포렌식인가? 싶다. 간단한 아이디어만 있다면 누구나 쉽게 풀 수 있는 문제였다. 문제의 설명을 보면 Buzz의 시계에 비밀 메세지가 있다고 한다. 참고로 Buzz는 토이 스토리에 나오는 그 버즈가 맞다. buzzsaw.avi 파일이 주어지게 되는데 해당 파일을 실행시켜 보면 이렇게 나온다. 위 사진은 문제파일을 gif 파일로 다시 만든것이다. 시계의 중앙 부분에 빨간색, 초록색 불빛이 깜빡깜빡 거리는 것을 볼 수 있다. 직관적으로 이 부분이 비밀 메세지라는 것을 알 수 있을 것이다. 불빛의 개수를 세어보면 8개이다. 빨간부분은 그냥 아무 의미없는 부분이거나 이전 값을 초기화하는 것이라고 생각했다. 초록색 불이 들어온 부분을 1, ..

스테가노그래피 문제 스테가노그래피는 데이터를 은폐하는 기술을 말한다. 사진파일이나 음악파일 등에 비밀데이터를 숨겨서 전송하는데 사용한다. 문제 설명에는 Sally Ride라는 여자 우주비행사 사진이 있고 shuttlesteg.jpg 파일이 하나 주어진다. 찾아보니 Sally Ride라는 분은 미국 최초의 여성 우주비행사라고 한다. shuttlesteg.jpg 사진을 열어보면 이렇게 생겼다. 화질이 조금 깨진 우주왕복선 사진이다. 보통 스테가노그래피 문제를 풀때, 여러 종류의 도구들을 사용해보는 편인데 이번 문제같은 경우 steghide라는 툴을 사용했다. steghide --extract -sf shuttlesteg.jpg 라고 입력하면 shuttlesteg.jpg 파일에 숨겨져 있는 데이터를 추출할 수..

두번째 네트워크 포렌식 문제이다. 제목에 Netfilx가 들어가는데, 넷플릭스랑 무슨 상관이 있는지는 잘 모르겠다. netflix-and-ctf.pcap 라는 이름의 패킷파일이 주어진다. Wireshark로 pcap 파일을 열어볼 수 있다. 첫번째 문제와 다르게 이번 패킷파일은 패킷 수가 2802개로 조금 많다. 어쩔수 없이 코딩을 해야할 듯 하다. 패킷파일은 10.10.100.139와 10.10.100.124 간에 오고가는 웹 패킷을 보여준다. POST 메소드를 이용해서 /search/browse 페이지와 /keypress/Lit_* 페이지를 요청한다. keypress 요청 부분을 자세히 보면 Lit_T, Lit_r, Lit_e 이런식으로 맨 끝에있는 문자가 계속 바뀌는데, 아마도 이건 키보드에서 T,..

지난 주말간 있었던 Space Heroes CTF 대회이다. 우주 컨셉으로 구성된 재미있는 대회였다. Star Pcap는 가장 쉬웠던 포렌식 문제이다. star.pcap 라는 이름의 패킷파일이 하나 주어진다. Wireshark로 pcap 파일을 열어볼 수 있다. 열어보면 패킷 양은 52개로 그렇게 많지 않다. 162.248.71.9에서 151.101.5.188 ICMP 패킷(ping)을 계속 날리고있는걸 확인할 수 있다. 패킷을 천천히 살펴보다가 수상한 부분을 발견했다. 패킷의 거의 마지막 부분을 보면 현재 파란색으로 블록잡혀있는 부분(63)만 다른값으로 변하는걸 확인할 수 있다. 예를들어 지금 보고있는 1번패킷은 해당부분의 값이 63이지만 2번 패킷을 보면 나머지 부분은 다 똑같은데 해당 부분만 32로..

네트워크 패킷 포렌식 문제이다. animalcrossing.pcapng 라는 이름의 패킷파일이 주어진다. 참고로 animalcrossing 은 동물의 숲의 영문판 이름이다. 이 대회당시에 동물의 숲이 엄청나게 유행이었는데, 문제랑은 무슨 관련이 있는진 잘 모르겠다. Wireshark를 이용해서 해당 패킷 파일을 열어보면 26번째 패킷부터 수상한 데이터가 보인다. ad.quickbrownfoxes.org 라는 곳과 dns 패킷을 엄청나게 주고받았는데 앞쪽에 RGlkIHlvd ~~ 로 시작하는 이상한 데이터도 같이 보인다. 생긴것으로 보아 base64로 인코딩 되어있는듯 하다. 이제 이 패킷에서 데이터를 뽑아내보자. 데이터를 뽑아낼때는 Wireshark 보다 Wireshark의 콘솔 버전인 Tshark를 이..

zippy.zip 이라는 이름의 압축파일이 하나 주어진다. 해당 파일을 열려고 하면 비밀번호를 물어본다. zip 파일을 crack 하는 문제는 이전에도 풀어본 적이 있다. https://hackingstudypad.tistory.com/55(한번 읽고오는걸 추천한다.) 하지만 이번 문제는 아주 살짝 다르다. 예전에 했던것처럼 zip2john zippy.zip > hash john hash zip2john 명령어를 이용해서 zippy.zip 파일의 비밀번호 hash 값을 추출하고, john the ripper 를 이용해서 hash 값을 crack 을 시도하면 잘 안된다. 잘 안되는 이유는 hash 값을 사전대입공격을 이용해서 crack 하는데 john the ripper에서 기본으로 사용하는 사전파일이 아..